《电子商安全智晟科技》由会员分享，可在线阅读，更多相关《电子商安全智晟科技（49页珍藏版）》请在金锄头文库上搜索。
1、电子商务安全电子商务安全主要内容主要内容l互联网安全的概述互联网安全的概述l加密技术加密技术l客户机的安全客户机的安全l通讯信道的安全通讯信道的安全l服务器的安全服务器的安全7/19/20242荷银客户巨额存款被盗荷银客户巨额存款被盗 企业信息安全再引企业信息安全再引关注关注2009年年11月月25日日l荷兰银行日前发生客户巨额存款被盗事件，涉及金额达荷兰银行日前发生客户巨额存款被盗事件，涉及金额达2000万人万人民币。针对此事民币。针对此事11月月24日荷兰银行对日荷兰银行对每日经济新闻每日经济新闻表示表示“不作评不作评论论”，但此事所揭露出的金融系统安全隐患已经引起各方关注。，但此事所揭露
2、出的金融系统安全隐患已经引起各方关注。 与此同时，普华永道与此同时，普华永道24日发布的日发布的2010年全球信息安全状况调查年全球信息安全状况调查显示，显示，2009年企业安全事件数量呈现上升趋势，这正成为经济危机年企业安全事件数量呈现上升趋势，这正成为经济危机以来的一个新的挑战。以来的一个新的挑战。7/19/202432009企业遭电脑犯罪事件调查企业遭电脑犯罪事件调查7/19/20244纽约时报：中国黑客调查纽约时报：中国黑客调查l代号为代号为MajiaMajia的黑客熟练地敲了几下键盘，屏幕上就出现一个窗口，显的黑客熟练地敲了几下键盘，屏幕上就出现一个窗口，显示被攻击者的相关信息。示被
3、攻击者的相关信息。MajiaMajia说：说：“这些电脑都感染了我的木马病毒，这些电脑都感染了我的木马病毒，但电脑的主人还不知道。但电脑的主人还不知道。”MajiaMajia工作地点在长沙郊区的一幢简陋公寓。工作地点在长沙郊区的一幢简陋公寓。 l互联网安全专家表示，中国有大量的像互联网安全专家表示，中国有大量的像MajiaMajia一样的黑客，他们正发起一样的黑客，他们正发起越来越多的全球性黑客攻击，从而盗取信用卡信息、从事商业间谍活越来越多的全球性黑客攻击，从而盗取信用卡信息、从事商业间谍活动，甚至对其他国家发起网络战。对一些网络攻击的追踪发现，攻击动，甚至对其他国家发起网络战。对一些网络攻
4、击的追踪发现，攻击源自中国。源自中国。l在中国、俄罗斯和部分东欧国家，黑客攻击已经成为一种全国性的问在中国、俄罗斯和部分东欧国家，黑客攻击已经成为一种全国性的问题，一些人从中牟取了巨额经济利益。在这些国家，有专门的黑客研题，一些人从中牟取了巨额经济利益。在这些国家，有专门的黑客研讨会和黑客培训学校；讨会和黑客培训学校；黑客黑客X X档案档案和和黑客防线黑客防线等杂志也大行其等杂志也大行其道，提供入侵系统、制造病毒的详细教程。道，提供入侵系统、制造病毒的详细教程。l只要花上不到只要花上不到6 6美元，就可以买到一本美元，就可以买到一本黑客入侵手册黑客入侵手册。美国和。美国和其他国家也有类似的书籍
5、出售，但数量没有这么多。其他国家也有类似的书籍出售，但数量没有这么多。7/19/20245消费者对网上购物的担心消费者对网上购物的担心由此造成的销售下降近由此造成的销售下降近50%7/19/20246阿喀琉斯阿喀琉斯之足之足7/19/20247计算机安全l所谓计算机安全，即要实现数据传输的保密性、完整性和即需（也称为拒绝服务）。l保密（secrecy）：防止未授权的数据暴露并确保数据源的可靠性。l完整（integrity）：防止未经授权的数据修改l即需（necessity）防止延迟或拒绝服务。7/19/20248安全策略要求要求含义含义保密保密防止未经授权的人读取信息或业务计划、盗取信用卡号码
6、及其他机密信息完整完整将信息加入安全信封以便计算机自动检查传输过程中信息是否被篡改可用可用保证信息段的传输，以便能够察觉信息或信息段的丢失密钥管理密钥管理安全发行与管理密钥，以保证通信的安全不可否认不可否认为消息的守法者提供无法否认的端到端的证据认证认证用数字签名与数字证书来安全识别客户机与服务器n电子商务的安全要求电子商务的安全要求7/19/20249参与安全策略的制定参与安全策略的制定攻击者攻击者防卫者防卫者执法者执法者管理者管理者制定安全策略制定安全策略 组建组建报告报告角色分工角色分工7/19/202410Network security library7/19/202411安全策略的
7、内容安全策略的内容l认证认证谁想防卫电子商务网站？谁想防卫电子商务网站？l访问控制访问控制允许谁登录电子商务网站并访问它？允许谁登录电子商务网站并访问它？l保密保密谁有权利查看特定的信息？谁有权利查看特定的信息？l数据完整性数据完整性允许谁修改数据？允许谁修改数据？l审计审计何时由何人导致何事？何时由何人导致何事？7/19/202412特别关注企业内部特别关注企业内部财务报表财务报表产品设计图产品设计图新产品企划案新产品企划案客户名单客户名单成本分析表等成本分析表等7/19/202413加密技术加密技术l最早的加密最早的加密公元前公元前1900年年在埃及小镇发现加密墓志铭在埃及小镇发现加密墓志
8、铭7/19/202414加密技术之散列编码加密技术之散列编码l用散列算法求出某个消息散列值的过程用散列算法求出某个消息散列值的过程l消息的指纹消息的指纹对每条消息都是唯一的对每条消息都是唯一的由不同消息计算出同一散列值的概率很小由不同消息计算出同一散列值的概率很小l对判别信息是否被改变十分方便对判别信息是否被改变十分方便如果信息被改变，原散列值就会与由接受者所接消息计算如果信息被改变，原散列值就会与由接受者所接消息计算出的散列值不符出的散列值不符l数字摘要数字摘要7/19/202415数字摘要数字摘要 采用单向采用单向Hash函数对文件进行变换运算得到摘要码，函数对文件进行变换运算得到摘要码，
9、并把摘要码和文件一同送给接收方，接收方接到文件后，并把摘要码和文件一同送给接收方，接收方接到文件后，用相同的方法对文件进行变换计算，用得出的摘要码与用相同的方法对文件进行变换计算，用得出的摘要码与发送来的摘要码进行比较来断定文件是否被篡改。发送来的摘要码进行比较来断定文件是否被篡改。7/19/202416加密技术之对称加密加密技术之对称加密l对称加密技术对称加密技术小张和小李都知道共同的密钥小张和小李都知道共同的密钥用同一个密钥加解密用同一个密钥加解密l少数人之间进行临时安全通讯少数人之间进行临时安全通讯l必须保证密钥安全必须保证密钥安全7/19/202417转置转置l不改变信息，只是重新安排
10、位置不改变信息，只是重新安排位置l五世纪，斯巴达人的加密系统五世纪，斯巴达人的加密系统7/19/202418置换置换l置换字母置换字母l公元公元6世纪，罗马皇帝世纪，罗马皇帝7/19/202419常用置换：一次性数表常用置换：一次性数表l发送者与接收者拥有一套相同的随机数表发送者与接收者拥有一套相同的随机数表数字数字n意味着用字母表中后意味着用字母表中后n个字母来置换个字母来置换7/19/202420DES（data encryption standard）lDES=数据加密标准数据加密标准l对称加密系统对称加密系统加解密使用相同密钥加解密使用相同密钥密钥决定置换操作次序密钥决定置换操作次序由
11、硬件实现，只有密钥是可变的由硬件实现，只有密钥是可变的lIBM在在70年代开发的年代开发的l无级别政府通讯的指定标准，金融交易的事无级别政府通讯的指定标准，金融交易的事实标准实标准7/19/202421加密技术之非对称加密加密技术之非对称加密l加解密用不同的两个密钥加解密用不同的两个密钥加密用公钥加密用公钥e，解密用私钥，解密用私钥dl公钥公钥e可以从公开渠道获得可以从公开渠道获得lRSA算法算法l数字签名数字签名7/19/202422数字签名数字签名l最早的伪装最早的伪装7/19/202423数字签名数字签名 只有信息的发送者能产生的，只有信息的发送者能产生的，加密后别人无法伪造的一段数字串
12、，加密后别人无法伪造的一段数字串，该数字串同时是信息真实性的有效凭该数字串同时是信息真实性的有效凭证。证。 概念概念7/19/202424报文报文 发送方发送方固定位数固定位数报文摘要值报文摘要值Hash函数计算函数计算 接收方接收方发送方发送方私钥加密私钥加密Hash函数计算报文函数计算报文摘要值、用发送方摘要值、用发送方公钥解密对比公钥解密对比数字签名数字签名7/19/202425公共密钥基础结构公共密钥基础结构PKI？如何保证获得的公钥是合法的，真实的？如何保证获得的公钥是合法的，真实的l认证中心认证中心CA是可信的第三方，负责授予数字是可信的第三方，负责授予数字证书，上有证书，上有CA
13、数字签名的公钥数字签名的公钥l发证书前中心会核实申请者的身份发证书前中心会核实申请者的身份l认证中心认证中心CA：lVerisign、Entrust、RSA、Cybertrustl中国数字认证网中国数字认证网7/19/202426客户机的安全威胁客户机的安全威胁l可乘之机可乘之机活动内容活动内容Cookiel攻击攻击特洛伊木马特洛伊木马l窃取客户机上的保密信息窃取客户机上的保密信息l改变或删除客户机上的信息改变或删除客户机上的信息幽灵幽灵Zombiel秘密接管一台计算机，从这台计算机上发起对其他计算秘密接管一台计算机，从这台计算机上发起对其他计算机的攻击机的攻击窃取窃取Cookie信息信息l客
14、户机的物理安全客户机的物理安全7/19/202427活动内容活动内容l嵌在页面上并对用户透明的程序嵌在页面上并对用户透明的程序可以完成一些动作，丰富了页面可以完成一些动作，丰富了页面将计算密度大的活动分布到多台计算机上执行将计算密度大的活动分布到多台计算机上执行l活动内容：活动内容：Java小应用程序小应用程序Active X控件控件JavaScriptVBscript图形、浏览器插件、邮件附件等图形、浏览器插件、邮件附件等7/19/202428Active 插件或控件7/19/2024297/19/202430Cookiel使用方式使用方式可以存储在客户机上可以存储在客户机上也可在会话浏览中
15、创建、使用并删除也可在会话浏览中创建、使用并删除l可收集或储存可收集或储存 任何信息任何信息7/19/202431保护保护l做好备份做好备份l下载时查看数字证书下载时查看数字证书l浏览器禁用活动内容和浏览器禁用活动内容和Cookiel及时更新防病毒软件及时更新防病毒软件免费的免费的Cookie管理软件：管理软件：识别、管理、显示和删识别、管理、显示和删除除Cookie7/19/202432通信信道的威胁l对保密性的安全威胁对保密性的安全威胁探测程序 “后门”服务器短时转换l对完整性的安全威胁对完整性的安全威胁破坏他人网站电子伪装钓鱼攻击l对即需性的安全威胁对即需性的安全威胁7/19/20243
16、3保护通讯信道保护通讯信道l保密保密加密技术加密技术SSLSETl完整完整散列算法、数字签名散列算法、数字签名l即需即需防黑客软件防黑客软件7/19/202434安全套接层协议安全套接层协议SSL（Secure Socket Layer）l由由Netscape公司开发，保证通信安全的国公司开发，保证通信安全的国际电子支付安全标准协议，也一是国际上际电子支付安全标准协议，也一是国际上最早的一种电子商务安全协议。最早的一种电子商务安全协议。l处于应用层与传输层之间处于应用层与传输层之间l采用公开密钥体制和数字证书技术保护信采用公开密钥体制和数字证书技术保护信息传输的机密性和完整性息传输的机密性和完
17、整性l“表单签名表单签名”，不可否认性，不可否认性7/19/202435客客户户浏浏览览器器商商家家服服务务器器银银行行网网络络商品信息商品信息信用卡号、订单信用卡号、订单交易完成信息交易完成信息安全通道安全通道传统的银行清算传统的银行清算基于基于SSL的电子交易流程的电子交易流程7/19/202436基于基于SSL的电子交易流程的电子交易流程lSSL如何建立安全信息通道？如何建立安全信息通道？1、客户通过网络向商家握手，商家回应、客户通过网络向商家握手，商家回应2、加密方式的选择、加密方式的选择 3、身份识别、身份识别4、会话密钥的确定、会话密钥的确定 5、电文传输、电文传输7/19/202
18、437lSSLSSL协议实现简单，被大部分的浏览器和协议实现简单，被大部分的浏览器和WebWeb服服务器所内置，便于在电子交易中应用。国际著务器所内置，便于在电子交易中应用。国际著名的电子货币名的电子货币CyberCashCyberCash信用卡支付系统就支信用卡支付系统就支持这种简单加密模式，持这种简单加密模式，IBMIBM等公司也提供这种等公司也提供这种简单加密模式的支付系统。简单加密模式的支付系统。lSSLSSL并不能协调各方间的安全传输和信任关系，并不能协调各方间的安全传输和信任关系，因此，为了实现更加完善的电子交易，因此，为了实现更加完善的电子交易，MasterCardMasterC
19、ard和和VisaVisa以及其他一些以及其他一些ITIT业界厂商制业界厂商制定并发布了定并发布了SETSET协议。协议。7/19/202438安全电子交易协议安全电子交易协议SET（Secure Electronic Transaction）lSET协协议议保保证证了了电电子子交交易易的的机机密密性性、数数据据完完整整性性、身份的合法性和防抵赖性。身份的合法性和防抵赖性。l用用到到了了对对称称密密钥钥系系统统、公公钥钥系系统统、数数字字签签名名、数数字信封、双重签名、身份认证等技术；字信封、双重签名、身份认证等技术；l消消费费者者、在在线线商商店店、支支付付网网关关都都通通过过CA来来验验证
20、证通通信主体的身份。信主体的身份。l对对购购物物信信息息和和支支付付信信息息采采用用双双重重签签名名，保保证证商商户户看不到信用卡信息，银行看不到购物信息；看不到信用卡信息，银行看不到购物信息；l速速度度偏偏慢慢，但但是是进进行行电电子子商商务务的的最最佳佳协协议议标标准准，主要适用于主要适用于B-C模式模式7/19/202439SET的交易流程的交易流程持持卡卡人人特特约约商商店店收收单单银银行行确认商家的合法性确认商家的合法性商家的数字证书商家的数字证书数字证书、加密的数字证书、加密的电子货币和订单信息电子货币和订单信息订单确认、交易完成订单确认、交易完成 请求交易授权请求交易授权 确认授
21、权信息确认授权信息 请求付款信息请求付款信息 确认付款信息确认付款信息7/19/202440保护服务器保护服务器l身份认证身份认证口令、数字证件、位置认证、生物测定、访问权口令、数字证件、位置认证、生物测定、访问权限限l防火墙防火墙l主动防御系统（蜜罐）主动防御系统（蜜罐）诱骗、威慑、监测、研究诱骗、威慑、监测、研究7/19/202441防火墙（防火墙（firewall）开放环境开放环境（外部网络）（外部网络）私有环境私有环境（内部网络）（内部网络）构造逻辑意构造逻辑意义上的封闭义上的封闭私有网络私有网络7/19/202442防火墙的作用防火墙的作用l作用作用识别用户并进行登录管理识别用户并进
22、行登录管理对进出行为进行访问控制对进出行为进行访问控制保护易受攻击的服务保护易受攻击的服务控制对特殊站点的服务控制对特殊站点的服务对网络访问进行记录、统计和控制对网络访问进行记录、统计和控制对进出的保密信息进行加解密对进出的保密信息进行加解密7/19/202443防火墙的类型防火墙的类型l包过滤路由器包过滤路由器缺点：不能鉴别不同的用缺点：不能鉴别不同的用户和防止户和防止IP地址盗用地址盗用优点：对用户来说是透明的，处优点：对用户来说是透明的，处理简单、速度快，易于维护理简单、速度快，易于维护7/19/202444防火墙的类型防火墙的类型l应用网关应用网关Internet路路 代代由由 理理器
23、器 服服 务务 器器内部服务器内部服务器缺点：速度慢，不缺点：速度慢，不允许用户直接访问允许用户直接访问网络，透明性差网络，透明性差优点：比包过滤式防火墙优点：比包过滤式防火墙更为安全，可靠，详细记更为安全，可靠，详细记录所有访问状态信息录所有访问状态信息7/19/202445防火墙的类型防火墙的类型l线路网关（线路网关（Circuit-level Gateway） 也叫会话网关，不允许进行端对端的连也叫会话网关，不允许进行端对端的连接，需要通过建立两个接，需要通过建立两个TCP连接。连接。l堡垒主机堡垒主机 作为应用网关或线路网关的平台，是一作为应用网关或线路网关的平台，是一个专门的系统，有
24、特殊装备，可以抵御攻个专门的系统，有特殊装备，可以抵御攻击。击。7/19/202446防火墙在金融网络中的配置防火墙在金融网络中的配置1Internet包过滤包过滤路由器路由器Web服务器服务器堡垒堡垒主机主机专用网专用网主机主机专用网专用网主机主机专用网专用网主机主机7/19/202447防火墙在金融网络中的配置防火墙在金融网络中的配置2Internet包过滤包过滤路由器路由器Web服务器服务器堡垒堡垒主机主机专用网专用网主机主机专用网专用网主机主机专用网专用网主机主机7/19/202448防火墙在金融网络中的配置防火墙在金融网络中的配置3Internet包过滤包过滤路由器路由器Web服务器服务器堡垒堡垒主机主机内部内部路由器路由器专用网专用网7/19/202449
